Les principaux éléments de ce PCA sont les suivants :

1. Détermination des effets de diverses catastrophes ou perturbations potentielles sur :

• • les principales fonctions de l’entreprise;
  • les employés;
  • les locaux;
  • les systèmes;
  • les dossiers;

2. Procédures d’atténuation d’une catastrophe ou d’une perturbation potentielle, d’intervention et de rétablissement;
3. Communication au sein de WACP, avec les principaux fournisseurs de services et avec les clients;
4. Processus de « sauvegarde » des dossiers clés [de l’entreprise];
5. Emplacement(s) auxiliaire(s) pour la reprise des activités;
6. Évaluation de la pertinence de faire appel à des fournisseurs de services externes pour des fonctions clés;
7. Plans de mise à jour du PCA et de vérification de son efficacité.

Renseignements sur l’entreprise

Description sommaire de l’entreprise

WACP est une société de gestion de placements établie au Canada qui offre principalement des services de gestion de risque à des familles à valeur nette élevée en assurant la surveillance, l’évaluation et la répartition.

Le Programme d’investissement familial de l’entreprise prévoit l’audit et l’examen des placements, la garde centralisée des titres et la production de rapports, la vérification préalable à l’investissement au niveau institutionnel, la recherche et la sélection de gestionnaires et l’utilisation de stratégies à gestion passive, à gestion active, privées et à risques gérés.

Procédures et processus relatifs aux activités essentielles

Compte tenu de la nature des activités de WACP, décrites précédemment, les aspects essentiels du service à la clientèle sont les suivants :

Maintien de la relation avec nos clients, notamment des voies de communication pour permettre aux clients de joindre WACP et vice-versa.

Maintien de notre capacité de gérer les portefeuilles de nos clients, y compris, s’il y a lieu, l’achat et la vente de titres pour nos clients. WACP doit s’acquitter de son obligation principale de servir ses clients en tout temps.

Notre PCA établit le maintien et le rétablissement de notre capacité de fournir ces services en temps utile comme notre priorité absolue. Les autres aspects des activités de WACP sont moins cruciaux et exigent moins de temps.

Nous croyons que le maintien de voies de communication appropriées (voir la section « Voies de communication ») permet à WACP de maintenir la relation avec ses clients.

Toutefois, comme il est mentionné dans la section « Fournisseurs de services essentiels », la principale responsabilité de WACP à cet égard consiste à maintenir l’accès et la connectivité aux fournisseurs de services, aux systèmes et aux applications. Nous croyons que le maintien de voies de communication appropriées permettra à WACP de s’acquitter de ces obligations.

Principaux contacts du PCA

Les coordonnées de l’équipe du PCA, ainsi que celles de tous les autres membres de WACP, doivent être révisées et mises à jour sur une base régulière.

1.1.1 Titulaire du PCA
La responsabilité de la mise en œuvre du PCA, de la capacité de WACP à fournir des services aux clients et du maintien des activités revient au chef de l’exploitation.

Le rôle de titulaire du PCA incombe expressément au chef de l’exploitation, qui devra passer en revue, réviser et mettre à jour le PCA, s’il y a lieu.

1.1.2 Équipe du PCA

Responsable du PCA

Compte tenu de ce qui précède, le chef de l’exploitation est désigné responsable du PCA. En plus des tâches associées au rôle de titulaire du PCA, le responsable du PCA doit amorcer tous les plans d’intervention, à moins qu’il ne soit pas capable de le faire physiquement ou autrement.

Soutien du PCA

Tous les autres membres de WACP doivent agir comme soutien au PCA en cas d’événement nuisible. Ils fourniront du soutien et des services conformément aux directives du responsable du PCA.

Fournisseurs de services indépendants

Les services assurés par des fournisseurs indépendants ont été divisés en deux catégories – les services essentiels et les services non essentiels –, selon l’effet potentiel causé par une perte de service. Une liste de fournisseurs tiers et des coordonnées pertinentes doit être tenue à jour.

1.1.3 Fournisseurs de services essentiels

La perte de ces services pose un risque pour les données des clients et l’efficacité opérationnelle quotidienne de l’entreprise. Ils ne peuvent être remplacés immédiatement.

Pour déterminer ce qu’est un « fournisseur de services essentiels », WACP tient compte du degré de dépendance (le nombre de services fournis et l’importance de ces services), de la disponibilité de solutions de rechange, de la rapidité d’accès aux solutions de rechange et, surtout, de l’ampleur de l’impact négatif potentiel pendant un événement nuisible si la relation est perturbée. Compte tenu de ces critères, les fournisseurs de services de WACP qui sont désignés comme fournisseurs de services essentiels sont les suivants :

Fidelity Clearing Canada ULC – Courtier chargé de comptes qui fournit des services d’exécution des opérations, de compensation, de garde des fonds et des titres et d’arrière-guichet aux maisons de courtage et aux sociétés de gestion de portefeuille canadiennes.

Banque Nationale Réseau Indépendant – Courtier chargé de comptes qui fournit des services d’exécution des opérations, de compensation, de garde des fonds et des titres et d’arrière-guichet aux maisons de courtage et aux sociétés de gestion de portefeuille canadiennes.

Ndex Systems – Fournisseur de services de soutien pour la gestion de portefeuille, la gestion des relations avec la clientèle, la gestion des valeurs mobilières, la gestion des ordres, la conformité, la gestion des frais, les opérations et la production des rapports de WACP.

SS&C Advent – Fournisseur de services de soutien pour la gestion de portefeuille, la gestion des relations avec la clientèle, la gestion des valeurs mobilières, la gestion des ordres, la conformité, la gestion des frais, les opérations et la production des rapports de WACP.

SGGG Fund Services Inc. – Fournisseur de services liés à l’évaluation des fonds et à la tenue de registres.

1.1.4 Fournisseurs de services non essentiels

La perte des services non essentiels dérangerait les activités de l’entreprise, mais ces services ne posent pas de menace pour les renseignements des clients et la confidentialité. Si l’un de ces services n’était plus offert, WACP pourrait immédiatement faire affaire avec un autre fournisseur de services pour l’obtenir rapidement et l’impact sur l’entreprise serait minimal. Les fournisseurs de services non essentiels sont les suivants :

Téléphone et Internet – Shaw Communications

Structure opérationnelle

1.1.5 Emplacement physique

Le siège social de WACP est situé au : 201, av. Portage, 25e étage, Winnipeg (Manitoba) R3B 3K6

L’annexe A du présent appendice dresse la liste des personnes à contacter pour l’accès à l’immeuble et les mises à jour sur l’état de l’immeuble, la sécurité de l’immeuble, les services publics de l’immeuble et les services et systèmes de l’immeuble pendant un événement nuisible.

1.1.6 Autres emplacements
Pendant un événement nuisible où l’accès à notre emplacement principal ne serait pas possible, les dirigeants de WACP travailleraient depuis leur bureau à domicile.

Le bureau à domicile est doté du matériel informatique et des périphériques nécessaires, ainsi que d’un accès au téléphone et à Internet haute vitesse.

Mesures d’intervention en cas de perturbation des activités

Événements nuisibles

Dans le cadre du présent PCA, nous avons décrit l’ensemble des catastrophes et des perturbations potentielles comme des « événements nuisibles ».

1.1.7 Impact des événements nuisibles

WACP doit planifier divers types d’événements. Les événements nuisibles ont été divisés en trois catégories selon leur impact sur les activités de WACP. Ces catégories sont les suivantes :

• Problème interne : Ne touche que WACP, p. ex., une défaillance de notre système informatique ou téléphonique ou une incapacité d’un employé;
• Problème local : Ne touche que l’immeuble ou le quartier, p. ex., un incendie ou une attaque perpétrée contre notre immeuble;
• Problème généralisé : Touche les infrastructures essentielles sur un vaste territoire, p. ex., panne de courant ou effondrement du réseau téléphonique en entier.

De par leur nature, les événements nuisibles généralisés ont des conséquences plus graves parce qu’ils touchent non seulement l’emplacement principal, mais aussi les autres emplacements et les voies de communication. Les activités des principaux fournisseurs de services et des autres entreprises avec lesquelles nous faisons affaire pourraient également être touchées.

Mise en application du PCA

Le PCA doit être consulté et mis en application dès la survenance de l’un ou l’autre des événements nuisibles susmentionnés, qu’il s’agisse d’un problème interne, local ou généralisé, ou dès que l’un ou l’autre des processus et procédures opérationnels essentiels susmentionnés est touché.

Dès qu’un événement nuisible se produit, le chef de l’exploitation détermine les mesures à prendre. Comme chaque événement nuisible se caractérise par un ensemble de circonstances particulières, les mesures d’intervention doivent être adaptées à chacun. Voir l’annexe A du présent appendice pour un plan d’intervention général en cas d’événements nuisibles internes, locaux et généralisés.

Voies de communication

Les principales voies de communication de notre emplacement principal sont le téléphone câblé, le téléphone cellulaire (appels et textos) et l’accès Internet (courriel).

Tous les appels téléphoniques destinés aux principaux contacts sont acheminés à leur poste téléphonique au bureau et à leur téléphone cellulaire. De plus, tous les messages vocaux laissés sur la ligne téléphonique de l’entreprise sont acheminés au compte courriel de la personne.

Le système de messagerie téléphonique de WACP est hébergé ailleurs que dans nos locaux. Ainsi, les messages laissés par les clients ou les fournisseurs de services sur nos principales lignes téléphoniques peuvent être pris à distance par messagerie vocale et courriel. Le message d’accueil entendu par les appelants peut être modifié à distance, ce qui nous permet d’adapter le message selon les circonstances de l’événement nuisible et de communiquer de l’information pertinente sur d’autres personnes-ressources aux clients, aux fournisseurs de services ou à d’autres appelants.

Comme les principaux comptes de courriel sont accessibles à distance par l’intermédiaire d’un fournisseur de services indépendant, nous pouvons recevoir et envoyer des communications par courriel en utilisant nos principaux comptes n’importe où il est possible d’accéder à Internet.

Si un événement se répercute sur les activités normales de l’entreprise, les leaders déterminent dans quelle mesure la communication doit être assurée. La mesure prise peut avoir une portée restreinte si le problème est relativement mineur ou être étendue à l’ensemble du personnel, de la clientèle et des autres parties concernées en cas de perturbation majeure. Une communication sera faite par courriel ou par téléphone, selon le mode qui convient vu les circonstances. Cet avis est envoyé dès que la situation le permet. Il décrit la situation, les changements qui sont apportés et les effets sur l’entreprise.

Sauvegarde des dossiers

Les documents de bureau de WACP sont hébergés sur des serveurs de fichiers sécurisés et sont inclus dans le plan de sauvegarde et de reprise après sinistre de Wellington-Altus Gestion Privée inc., avec reproduction sécurisée dans des centres de données hors site. Ces dossiers comprennent les registres d’opération, la correspondance liée aux fonds et les rapports portant sur les fonds. Les sauvegardes peuvent être utilisées pour les activités de WACP aux autres emplacements. Elles peuvent également être utilisées pour récupérer d’un événement nuisible et recréer les dossiers et registres à l’emplacement principal en cas de perte ou d’endommagement.

Cybersécurité

La cybercriminalité est définie comme « une activité préjudiciable exercée par un groupe à l’aide d’ordinateurs, de systèmes de technologie de l’information ou d’Internet qui cible les ordinateurs, l’infrastructure des technologies de l’information et la présence sur Internet d’une autre entité ».

Pour gérer les risques de la cybermenace ou de la cybercriminalité, WACP doit connaître ces risques et prendre les mesures de protection et de sécurité nécessaires pour protéger l’entreprise et ses clients. WACP prendra les mesures suivantes :

• Informer le personnel sur l’importance de la protection des renseignements de l’entreprise et des clients et de la sécurité informatique et sur le rôle qu’ils jouent à cet égard;
• Suivre les directives et les pratiques exemplaires des associations sectorielles et des organisations reconnues en sécurité de l’information;
• Le cas échéant, procéder régulièrement à des tests de vulnérabilité et de sécurité et à des évaluations par l’intermédiaire de fournisseurs indépendants;
• Effectuer un examen continu de l’efficacité des systèmes existants, comme les contrôles internes et les systèmes de gestion des risques.

Les politiques et procédures de WACP en matière de cybersécurité sont décrites en détail dans notre manuel des politiques et des procédures.

Maintien du PCA

Test d’efficacité du PCA

Nous vérifions l’efficacité du PCA principalement lorsque les leaders de WACP sont en voyage ou travaillent à distance à partir de nos autres emplacements. Au cours de ces périodes, les activités de WAPC sont entièrement maintenues, tout comme les services offerts à nos clients. Comme ces « tests » sont faits en temps réel, avec des systèmes réels et des opérations réelles (par opposition à des simulations), nous sommes d’avis qu’ils permettent de mettre à l’essai de façon rigoureuse les composantes internes du PCA de WACP et les capacités des autres sites et voies de communication de WACP. Ces essais sont faits plusieurs fois durant l’année.

Chaque fois qu’un test est fait, les personnes qui l’effectuent consignent notamment la date, les détails et les résultats du test. À la fin, les résultats sont communiqués aux leaders pour examen et analyse. Par la suite, des changements sont mis au point et mis en œuvre au besoin.

Examen et évaluation du PCA

Chaque année, le PCA est examiné pour vérifier son exactitude, son exhaustivité et l’utilité de sa mise en œuvre. Le test décrit à la section précédente est un exercice « pratique » visant la fonctionnalité du PCA. L’examen annuel se veut une évaluation théorique dont le but est de s’assurer que la portée du PCA est suffisante et qu’il prévoit bien l’étendue et les répercussions potentielles des diverses menaces sur les activités normales de WACP.

En tant que titulaire du PCA, le chef de l’exploitation procède à l’examen et à l’évaluation du PCA. Ce processus consiste à évaluer l’efficacité du PCA, en incluant les rapports de tests dont il a été question précédemment, en consignant les lacunes et en faisant des mises à jour au besoin.

Mises à jour du PCA

Le PCA sera mis à jour :

• À tout moment lorsque les tests permettent de détecter des lacunes.
• À tout moment lorsqu’un changement important survient relativement aux activités de WACP, aux principaux fournisseurs de services, à l’emplacement ou à l’information concernant les principaux contacts du PCA.
• À tout moment lorsque l’examen et l’évaluation annuels du PCA révèlent des manques ou faiblesses.

Annexe au plan d’intervention en cas d’événement nuisible

Le plan d’intervention mis en œuvre aura grosso modo le même format indépendamment du type d’événement – interne, local ou généralisé –, mais les mesures prises varieront pour chacun. Dans chaque cas, le plan ci-dessous doit être suivi :

• Aviser le chef de l’équipe d’intervention. Ce dernier mettra en œuvre le plan.
• Déterminer les mesures nécessaires pour intervenir. Ces mesures peuvent inclure :
  • Une communication initiale destinée aux autres membres de l’équipe d’intervention, à certains groupes de travail ou à l’ensemble de l’entreprise, selon ce qui convient.
  • L’activation d’autres lieux de travail s’il y a lieu.
  • Une estimation de la durée du problème et de ce qui peut être fait pour corriger la situation et reprendre les activités.
  • Vérification pour savoir si la clientèle est touchée par le problème et, le cas échéant, dans quelle mesure. Il faudra peut-être prioriser la communication.
  • Communication avec des parties externes pour obtenir de l’information ou des conseils, notamment de fournisseurs de services indépendants, de conseillers juridiques ou de spécialistes de la conformité.
  • Envoyer une communication aux autres employés de l’entreprise. Il peut s’agir d’arbres de diffusion, d’un courriel à l’échelle de l’entreprise ou d’autres moyens, selon ce qui convient. La communication doit décrire le problème et les mesures à prendre.

Envoyer une communication aux clients.

Envoyer une communication aux autres fournisseurs de services, aux organismes de réglementation et à toute autre partie concernée, s’il y a lieu.

Faire état des mesures pour corriger le problème, dans la mesure du possible.

Une fois que les activités de l’entreprise sont revenues à la normale, envoyez une communication de suivi aux employés, aux clients, aux fournisseurs de services, aux organismes de réglementation et à toute autre partie préalablement avisée.

Passer en revue l’événement, évaluer les mesures prises et déterminer si des changements peuvent être mis en œuvre pour éviter ou réduire ses répercussions à l’avenir.